Fiscalização de IA pela ANPD: o que muda em 2026-2027

A fiscalização de IA pela ANPD deixou de ser risco abstrato em dezembro de 2025: pela Resolução CD/ANPD nº 30/2025, em vigor desde então, a Autoridade Nacional de Proteção de Dados publicou o Mapa de Temas Prioritários para o biênio 2026-2027 e elegeu "inteligência artificial e tecnologias emergentes" como um dos quatro eixos de fiscalização — com 20 ações de fiscalização dedicadas a sistemas de IA que tratam dado pessoal, distribuídas ao longo de 2027. Isso não é lei nova nem promessa de regulação futura: é o calendário de auditoria de uma autoridade que já tem poder de multa hoje, sob a LGPD que já está em vigor desde 2020. Este guia é para C-level, jurídico e compliance: o que o mapa prevê exatamente, os critérios que a ANPD vai usar para avaliar um sistema de IA, quais casos de uso já estão na mira e o checklist prático para chegar em 2027 com a casa em ordem — em vez de correr atrás depois de uma notificação.

O que é o Mapa de Temas Prioritários 2026-2027 da ANPD

O Mapa de Temas Prioritários é o instrumento pelo qual a ANPD declara, com antecedência, onde vai concentrar fiscalização e normatização nos próximos dois anos — em vez de agir apenas reativamente, por denúncia. Aprovado pela Resolução CD/ANPD nº 30/2025 e em vigor desde dezembro de 2025, o documento organiza a atuação da autoridade em quatro eixos temáticos, conforme reportagem do TeleTime:

Eixo	Tema	Ações de fiscalização previstas
1	Direitos dos titulares de dados	25
2	Proteção de crianças e adolescentes no ambiente digital	30
3	Tratamento de dados pessoais pelo Poder Público	20
4	Inteligência artificial e tecnologias emergentes	20

A ANPD anunciou pelo menos 75 atividades de fiscalização para o biênio inteiro, segundo o TeleTime — o mapa completo (junto com a atualização da Agenda Regulatória 2025-2026, aprovada na mesma leva pela Resolução CD/ANPD nº 31/2025) está descrito na nota oficial da própria ANPD. O ponto prático para quem decide: pela primeira vez, a fiscalização de IA no Brasil tem um eixo próprio, com volume de ações definido — não é mais "a ANPD pode, em tese, fiscalizar IA via LGPD". É um plano de auditoria publicado, com prazo.

O quarto eixo: as 20 ações de fiscalização dedicadas a sistemas de IA

O eixo 4 mira especificamente sistemas de inteligência artificial e tecnologias emergentes, especialmente quando envolvem tratamento de dado pessoal — inclusive de crianças e adolescentes. Estão programadas 20 atividades de fiscalização, distribuídas ao longo de 2027, conforme o TeleTime. Duas leituras importam aqui:

1. A janela de preparação é 2026. As ações de fiscalização do eixo de IA acontecem em 2027 — o que sobra de 2026 é exatamente o tempo para inventariar sistemas, testar viés e montar trilha de auditoria antes de qualquer notificação chegar, não depois.
2. O critério não é "usar IA generativa". É tratar dado pessoal com IA — o que cobre praticamente qualquer sistema de triagem, scoring, recomendação ou automação de decisão que uma grande empresa brasileira já roda hoje, muitas vezes sem que o jurídico saiba que existe.

O que a ANPD vai avaliar em um sistema de IA: os quatro critérios

Sistemas de IA que tratam dado pessoal — inclusive os já em produção hoje — estarão sujeitos a escrutínio regulatório em quatro frentes, segundo o mapeamento do TeleTime e da OpenClaw:

• Transparência. O titular do dado sabe que está interagindo com um sistema de IA, e sabe como esse sistema usa o dado dele? Aviso genérico em política de privacidade não costuma bastar — a exigência é de transparência ativa no momento da interação. O detalhamento técnico de como explicar uma decisão automatizada de forma auditável está em IA explicável (XAI): o direito à explicação na prática.
• Mitigação de vieses. O sistema discrimina, direta ou indiretamente, grupos protegidos? A metodologia de identificação com métricas de fairness e mitigação por fase do pipeline está em viés algorítmico em IA: como identificar e mitigar.
• Segurança da informação. Os dados usados para treinar ou alimentar o sistema estão protegidos — em trânsito, em repouso e contra vazamento pelo próprio modelo?
• Impacto sobre direitos dos titulares (art. 20 da LGPD). Toda decisão automatizada que afeta uma pessoa precisa oferecer caminho real de revisão humana — não uma cláusula de contrato que ninguém aciona na prática.

Esses quatro critérios não são originais da ANPD — são, na prática, a mesma espinha dorsal de qualquer programa de governança de IA bem estruturado. A diferença é que agora eles vêm com data de auditoria.

Quais casos de uso já estão na mira da fiscalização

A avaliação por trás do eixo 4 não é genérica — mira sistemas que já operam em produção em grandes empresas brasileiras hoje, segundo levantamento da OpenClaw:

1. Análise de crédito — scoring automatizado que aprova ou nega operações sem explicação clara ao titular.
2. Recrutamento — sistemas de triagem de currículo com viés algorítmico não testado.
3. Precificação dinâmica — algoritmos que ajustam preço com base em dado pessoal ou perfil comportamental do cliente.
4. Saúde — sistemas de IA que influenciam diagnóstico ou decisão de cobertura de plano.

Se a sua empresa opera qualquer um desses casos de uso — e a maioria das grandes empresas brasileiras opera pelo menos um —, ele é candidato direto a entrar na amostra de fiscalização de 2027, mesmo que o sistema tenha sido implementado por uma área de negócio sem passar pelo jurídico.

A ANPD não está de papel passado: capacidade de fiscalização em expansão

O Mapa de Temas Prioritários não nasce isolado — vem acompanhado de um reforço institucional real na capacidade de fiscalização da ANPD. Dois movimentos concretos de 2026 sustentam isso:

• A ANPD virou autarquia especial. Pela Lei nº 15.352/2026, publicada em 25 de fevereiro de 2026, a autoridade ganhou maior autonomia funcional, técnica, decisória, administrativa e financeira — o mesmo modelo das agências reguladoras setoriais (ANATEL, ANS, CVM), o que amplia a capacidade de contratar, normatizar e fiscalizar em volume.
• A fiscalização de plataformas digitais já saiu do papel. Desde 21 de agosto de 2026, a ANPD passou a monitorar diretamente redes sociais, lojas de aplicativos e ferramentas de IA — 22 agentes digitais sob acompanhamento inicial, conforme a Macher Tecnologia, no âmbito da regulamentação do ECA Digital. Esse monitoramento é um eixo distinto do eixo 4 do mapa, mas mostra a mesma coisa: a ANPD tem hoje musculatura operacional para transformar plano de fiscalização em ação, não só em comunicado de imprensa.

Para quem decide investimento em governança, o sinal é claro: tratar "a ANPD não tem estrutura para fiscalizar de verdade" como premissa de risco ficou defasado em 2026.

Fiscalização da ANPD, LGPD e Marco Legal da IA: três coisas diferentes

Vale separar três frentes regulatórias que costumam se confundir, porque cada uma exige uma resposta diferente da empresa:

Frente	O que é	Status em 2026
LGPD aplicada a IA	Obrigação legal já em vigor desde 2020, que se aplica a qualquer tratamento de dado pessoal — inclusive por IA	Em vigor, guia completo em LGPD e IA generativa
Mapa de Temas Prioritários da ANPD (este artigo)	Calendário de fiscalização — onde e quando a ANPD vai auditar o cumprimento da LGPD em sistemas de IA	Em vigor desde dez/2025, ações de IA programadas para 2027
Marco Legal da IA (PL 2338/2023)	Lei geral de IA, com classificação de risco e regras próprias, ainda em tramitação	Não é lei — segue em análise na Câmara, detalhes em Marco Legal da IA no Brasil (PL 2338)

A leitura prática: a fiscalização deste artigo não depende do PL 2338 virar lei para acontecer. A ANPD já fiscaliza IA hoje, com a LGPD que já existe — o mapa de temas prioritários é apenas o aviso, publicado com dois anos de antecedência, de que isso vai acontecer em escala maior a partir de 2027.

Checklist: como preparar a empresa antes de 2027

Sete frentes concretas para chegar no período de fiscalização do eixo 4 com evidência documentada, não com explicação improvisada:

1. Inventarie os sistemas de IA que tratam dado pessoal, inclusive os adotados informalmente por áreas de negócio. Sem inventário, não dá para saber o que está exposto — o processo está em inventário de sistemas de IA (AI-BOM).
2. Documente testes de viés para sistemas de crédito, recrutamento, pricing e saúde — os quatro casos de uso já identificados como prioritários. Metodologia completa em viés algorítmico em IA.
3. Formalize a revisão humana exigida pelo art. 20 da LGPD em cada decisão automatizada relevante — com processo real, não cláusula que ninguém aciona.
4. Ative transparência no momento da interação, não só na política de privacidade — avisando o titular quando ele está lidando com um sistema de IA.
5. Reforce segurança da informação dos dados de treinamento e de inferência, com criptografia, controle de acesso e plano de resposta a incidente.
6. Monte trilha de auditoria desde já — documentação técnica, registro de decisões e evidência de teste são o que um fiscal pede primeiro. Processo detalhado em auditoria de IA: guia técnico para C-level e compliance.
7. Dê dono claro ao programa, dentro da estrutura maior de compliance e IA — sem responsável nomeado, cada área decide sozinha o que expõe a empresa.

Onde o método Flight Plan da Jetpacks entra

Preparar a empresa para a fiscalização de IA da ANPD não é só um exercício jurídico — é governança que precisa virar prática operacional em cada área que já usa IA com dado pessoal. É exatamente aí que o método Flight Plan da Jetpacks atua, em quatro estágios de cerca de duas semanas por área:

1. Launchpad — Diagnóstico. Mapeia quais sistemas de IA da empresa tratam dado pessoal e onde estão os maiores gaps frente aos quatro critérios da ANPD. Saída: mapa de impacto.
2. Flight Plan — Plano por área. Define a trilha de correção e capacitação específica para cada time que opera um desses sistemas. Saída: trilha por área.
3. Booster — Capacitação. Treina o time responsável a operar com os controles certos, com certificação Jetpack Certified por nível. Saída: time capacitado.
4. Mission Control — Acompanhamento. Mede se os controles realmente entraram em uso, não apenas se a política foi publicada. Saída: métricas de adoção.

Empresas como Hypera Pharma, Volvo, BMR Medical e C12 Brasil já usaram esse método para instalar governança de IA na prática, não só no papel. O primeiro passo é o diagnóstico gratuito de 30 a 45 minutos, que mapeia a exposição da sua empresa antes do período de fiscalização de 2027.

FAQ

O que é o Mapa de Temas Prioritários da ANPD para 2026-2027?

É o instrumento, aprovado pela Resolução CD/ANPD nº 30/2025 e em vigor desde dezembro de 2025, em que a ANPD declara com antecedência onde vai concentrar fiscalização nos próximos dois anos. Organiza a atuação em quatro eixos — direitos dos titulares, proteção de crianças e adolescentes, Poder Público e IA e tecnologias emergentes — com pelo menos 75 ações de fiscalização previstas no total.

Quantas ações de fiscalização a ANPD vai fazer sobre IA?

O eixo dedicado a inteligência artificial e tecnologias emergentes prevê 20 ações de fiscalização, distribuídas ao longo de 2027, mirando sistemas de IA que tratam dado pessoal — inclusive dado de crianças e adolescentes.

Quando essas fiscalizações de IA acontecem?

Em 2027. O mapa foi publicado no fim de 2025 justamente para dar às empresas o intervalo de 2026 como janela de preparação, antes do período de execução das ações de fiscalização do eixo de IA.

O que a ANPD vai avaliar em um sistema de IA?

Quatro critérios: transparência (o titular sabe que interage com IA e como o dado dele é usado), mitigação de vieses (o sistema discrimina grupos protegidos), segurança da informação (proteção dos dados de treinamento e inferência) e impacto sobre os direitos dos titulares, incluindo o direito à revisão humana previsto no art. 20 da LGPD.

Minha empresa pode ser fiscalizada mesmo sem usar IA generativa pública?

Sim. O critério da ANPD é tratamento de dado pessoal por sistema de IA, não o tipo de ferramenta. Sistemas de scoring de crédito, triagem de currículo, precificação dinâmica ou apoio a diagnóstico em saúde entram no escopo, mesmo sendo modelos internos ou contratados de fornecedores especializados — não só chatbots de IA generativa voltados ao público.

Qual a diferença entre a fiscalização da ANPD e o Marco Legal da IA (PL 2338)?

A fiscalização da ANPD já está em vigor hoje, com base na LGPD, que existe desde 2020. O Marco Legal da IA (PL 2338/2023) é um projeto de lei ainda em tramitação na Câmara, com regras próprias de classificação de risco. Uma empresa não precisa esperar o PL 2338 virar lei para estar sujeita à fiscalização de IA — ela já está.

Quais setores estão mais na mira da fiscalização de IA da ANPD?

Casos de uso já identificados como prioritários incluem análise de crédito com scoring automatizado, recrutamento com triagem algorítmica de currículo, precificação dinâmica baseada em dado pessoal e sistemas de IA que influenciam diagnóstico ou cobertura em saúde.

O que acontece se a ANPD encontrar não conformidade em um sistema de IA?

As sanções seguem as previstas na LGPD: multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, além de sanções não pecuniárias como bloqueio ou eliminação dos dados envolvidos e publicização da infração.

Conclusão

A fiscalização de IA pela ANPD parou de ser hipótese em dezembro de 2025: existe resolução publicada, eixo definido, volume de ações definido e prazo declarado. O que separa uma empresa exposta de uma empresa preparada não é sorte de não ser sorteada para auditoria — é ter, antes de 2027, inventário de sistemas, testes de viés documentados, revisão humana real e trilha de auditoria pronta para qualquer um dos quatro critérios que a ANPD vai cobrar. Se a sua empresa ainda não sabe exatamente quais sistemas de IA tratam dado pessoal hoje, o diagnóstico gratuito da Jetpacks mapeia isso em 30 a 45 minutos e desenha, com o método Flight Plan, a trilha para chegar no período de fiscalização com evidência — não com desculpa. Para levar o tema à diretoria com os números certos, o business case de adoção com governança ajuda a justificar o investimento como o que ele é: mais barato que uma autuação.